Por Jonathan Nguyen-Duy, director de tecnología de Arqit
Durante años, la conversación en torno a la computación cuántica se ha centrado en la cuestión de cuándo llegará una computadora cuántica suficientemente potente. Es un momento emocionante para la industria, por lo que esta área de enfoque no es una sorpresa. Pero puede crear la idea errónea de que las empresas tienen tiempo para esperar antes de comenzar su proceso de preparación cuántica.
Es por eso que el verdadero problema es si las organizaciones están tratando el riesgo cuántico hoy en día como una responsabilidad de gobernanza. Porque cuando la primera gran brecha relacionada con la tecnología cuántica finalmente llegue a los titulares, es probable que las juntas directivas y los directores ejecutivos enfrenten incómodas cuestiones de responsabilidad.
Únase al European Business Briefing
Los nuevos suscriptores de este trimestre participan en un sorteo para ganar un Rolex Submariner. Únase a más de 40.000 fundadores, inversores y ejecutivos que leen EBM todos los días.
Suscribir
Esto se debe a que, a diferencia de la mayoría de las amenazas a la ciberseguridad que conocemos hoy, la cuántica es una que podemos anticipar ampliamente. Y eso cambia la conversación por completo porque es una cuestión de gobernanza y riesgo empresarial a largo plazo para la que las organizaciones tienen el don de poder prepararse.
Deja de centrarte en predecir el futuro
Uno de los mayores conceptos erróneos sobre la seguridad cuántica es que las organizaciones sólo necesitan actuar una vez que exista una computadora cuántica suficientemente poderosa. Pero los actores de amenazas ya están recopilando información cifrada hoy en día en previsión de que futuros ataques cuánticos puedan permitir que se descifre.
El primero se llama Cosechar ahora, descifrar después, una frase con la que muchos ya estarán familiarizados. Para las organizaciones que almacenan propiedad intelectual de larga duración, información confidencial de los clientes o datos operativos críticos, las decisiones de hoy determinarán la exposición del mañana. Todos los datos almacenados y transmitidos deben considerarse vulnerables hasta que se migre al cifrado cuántico seguro.
El segundo tipo de riesgo se llama ataques Harvest Now, Forge Later, en los que el cifrado que protege las firmas digitales se ve comprometido, lo que lleva a la ruptura de las cadenas de confianza en todos los procesos comerciales. Si no se puede confiar en la autenticación, todo, desde las actualizaciones de software hasta las transacciones financieras, se paralizaría por completo. Tomemos como ejemplo una bolsa de valores. Si se pierde la confianza en la integridad de los datos comerciales, se pone en duda el valor de todo el sistema. Está claro que prácticamente todos los procesos dependen de la capacidad de confiar en los datos y las identidades subyacentes.
Las organizaciones que comienzan a prepararse temprano pueden adoptar un enfoque mesurado y basado en riesgos para gestionarlos. Pero aquellos que esperan pueden encontrarse tratando de comprimir años de migración en un marco de tiempo imposible.
Dando el primer paso
Cuanto más demoren las organizaciones en prepararse para la criptografía poscuántica, menos opciones conservarán si (y cuando) la capacidad cuántica avance más rápido de lo esperado. Recuerde que la preparación cuántica no comienza reemplazando todos los algoritmos de cifrado en toda la empresa, simplemente debe comenzar con la comprensión de su estado actual.
Antes de que las organizaciones puedan planificar una migración, deben comprender dónde se utiliza la criptografía, qué sistemas dependen de ella, la criticidad de los datos y qué activos representan el mayor riesgo a largo plazo.
Desafortunadamente, la mayoría de las organizaciones simplemente no saben dónde existe la criptografía en su patrimonio. El cifrado se ha acumulado durante décadas a través de aplicaciones, plataformas en la nube, software de terceros e infraestructura heredada, a menudo sin supervisión central, lo que genera puntos ciegos. Y no puedes gestionar eficazmente lo que no puedes ver. Además, es fundamental comprender qué sistemas se pueden actualizar con cifrado cuántico seguro y cuáles no, y deberán retirarse. Asimismo, será necesario volver a cifrar los datos para garantizar la confidencialidad y la integridad. Sólo una vez que las organizaciones comprendan su patrimonio criptográfico podrán construir una hoja de ruta de migración realista y basada en riesgos y priorizar la inversión. Es importante destacar que este no es un ejercicio aislado. A medida que las tecnologías y las redes evolucionan, también lo hará el riesgo criptográfico. Por lo tanto, la preparación y la agilidad cuánticas se convierten en una capacidad de gobernanza continua.
Traduciendo la amenaza a la sala de juntas
Para los líderes de seguridad, que comprenden los riesgos, uno de sus mayores desafíos es explicar por qué ese riesgo es importante para el negocio en general.
La clave para superar ese desafío es reconocer que las juntas directivas invierten cuando comprenden el impacto potencial en los resultados comerciales, la confianza de los clientes y la gobernanza. Y ahí es donde debe cambiar la conversación sobre la cuántica.
Las organizaciones deberían empezar a preguntarse: “Si el Q-Day ocurriera mañana, ¿qué revelaría sobre nuestra preparación hoy?”.
Sin duda, la computación cuántica desbloqueará avances en la ciencia, las finanzas, la fabricación y la inteligencia artificial. Pero esas oportunidades dependen de una infraestructura digital confiable.
La conclusión: ¿será el Q-Day una crisis o una oportunidad?
Quantum presenta un desafío único porque es uno de los pocos riesgos cibernéticos para los que las organizaciones pueden prepararse antes de que se materialice por completo. Eso crea una oportunidad para actuar deliberadamente en lugar de reaccionar bajo presión.
Por lo tanto, las organizaciones exitosas serán las que se preparen. La resiliencia tiene menos que ver con la velocidad que con centrarse en la gestión del riesgo. Q-Day tiene el potencial de revelar años de exposición organizacional y oportunidades perdidas de preparación.
Sin embargo, el Q-Day no tiene por qué ser el advenimiento de una crisis. En cambio, las organizaciones preparadas podrán aprovechar las tecnologías de forma segura para desbloquear la innovación y el crecimiento.